Bitcoin Forum
April 10, 2020, 12:18:48 AM *
News: Latest Bitcoin Core release: 0.19.1 [Torrent]
 
   Home   Help Search Login Register More  
Pages: [1]
  Print  
Author Topic: Kraken identifica falla crítica en carteras de hardware Trezor  (Read 80 times)
VB1001
Hero Member
*****
Offline Offline

Activity: 560
Merit: 1836


<<CypherPunkCat>>


View Profile
January 31, 2020, 05:22:08 PM
Last edit: February 01, 2020, 07:31:25 AM by VB1001
Merited by DdmrDdmr (2)
 #1

Kraken Identifies Critical Flaw in Trezor Hardware Wallets

https://blog.kraken.com/post/3662/kraken-identifies-critical-flaw-in-trezor-hardware-wallets/

Video: https://www.youtube.com/watch?time_continue=2&v=6pKuHYwrGkU&feature=emb_logo

Trezor: Our Response to the Read Protection Downgrade Attack

https://blog.trezor.io/our-response-to-the-read-protection-downgrade-attack-28d23f8949c6

De momento en ingles, actualizare si publican en español, primero aclarar que necesitan el trezor físicamente para hacer el ataque, tienen que intervenir directamente en el chip, provocan fallos en el gestor de arranque con voltajes erroneos (creo que el chip queda "tonto") y a partir de aquí empiezan a flashear, esto resumido en 2 líneas, pero la cuestión es que sí, lo hackean.

Después he ido al blog de Trezor y efectivamente es así, tenéis el enlace de Kraken (lo descubrieron ellos) un vídeo de Kraken y el enlace a Trezor.

edit: enlaces en español


Kraken revela que las billeteras Trezor pueden ser hackeadas

Quote
Kraken Security Labs reveló el 31 de enero que las billeteras físicas de Trezor y sus derivados pueden ser hackeados para extraer claves privadas. Aunque el procedimiento es bastante complicado, Kraken afirma que "requiere solo 15 minutos de acceso físico al dispositivo".

El ataque requiere una intervención física en la billetera Trezor extrayendo su chip y colocándolo en un dispositivo especial o soldando un par de conectores críticos.

https://es.cointelegraph.com/news/trezor-wallets-can-be-hacked-kraken-reveals



Comprueban vulnerabilidad que facilita acceso a claves privadas de carteras frías Trezor

Quote
Hechos clave:

Identificaron la misma falla encontrada en diciembre pasado en las carteras frías de KeepKey.
Un ataque de voltaje permitió a los investigadores extraer la semilla encriptada en 15 minutos.

https://www.criptonoticias.com/seguridad-bitcoin/vulnerabilidades/comprueban-vulnerabilidad-acceso-claves-privadas-carteras-frias-trezor/


1PCm7LqVkhj4xRpKNyyEeekwhc1mzK52cT
1586477928
Hero Member
*
Offline Offline

Posts: 1586477928

View Profile Personal Message (Offline)

Ignore
1586477928
Reply with quote  #2

1586477928
Report to moderator
Advertised sites are not endorsed by the Bitcoin Forum. They may be unsafe, untrustworthy, or illegal in your jurisdiction. Advertise here.
1586477928
Hero Member
*
Offline Offline

Posts: 1586477928

View Profile Personal Message (Offline)

Ignore
1586477928
Reply with quote  #2

1586477928
Report to moderator
1586477928
Hero Member
*
Offline Offline

Posts: 1586477928

View Profile Personal Message (Offline)

Ignore
1586477928
Reply with quote  #2

1586477928
Report to moderator
1586477928
Hero Member
*
Offline Offline

Posts: 1586477928

View Profile Personal Message (Offline)

Ignore
1586477928
Reply with quote  #2

1586477928
Report to moderator
andulolika
Legendary
*
Offline Offline

Activity: 1218
Merit: 1022



View Profile
January 31, 2020, 05:25:10 PM
 #2

Gracias, pocos se habrian dado cuenta.

https://enjinx.io/eth/asset/84665391 Legit me and my pipe.
The illusion of choice, repubicans or demonrats, lidl or aldi.
Jamil2012
Newbie
*
Offline Offline

Activity: 1
Merit: 0


View Profile
January 31, 2020, 06:27:26 PM
 #3

Gracias!
DdmrDdmr
Hero Member
*****
Offline Offline

Activity: 826
Merit: 3673


Fuck the Coronavirus -> #StayAtHome #QuedateEnCasa


View Profile WWW
February 01, 2020, 01:57:54 PM
 #4

<…>
En el año 2018, algo similar (hasta cierto punto) se dijo sobre Ledger Nanos S (ver re:Ledger Nano S Hackeada!), y nuevamente a finales del 2018 (ver Posible ataque contra Trezor y Ledger nano? ).

El asunto radica primero en tener la precaución de no tenerlo tirado a la vista, y esconderlo en algún sitio. Más allá de eso, algunas de estas vulnerabilidades detectadas han servido para mejorar el producto mediante actualizaciones en el firmware, pero otras, quizás como la citada en el OP, requieran posiblemente de un rediseño hardware a fin de erradicar la posibilidad de robo mediante el acceso físico que, aunque remota, existe.

Claro que sigue siendo más práctico y menos sofisticado recurrir al viejo clásico: usar una llave inglesa de 5$ contra el dueño del dispositivo …

th3nolo
Hero Member
*****
Offline Offline

Activity: 1134
Merit: 651



View Profile
February 02, 2020, 09:51:31 PM
 #5

<…>
En el año 2018, algo similar (hasta cierto punto) se dijo sobre Ledger Nanos S (ver re:Ledger Nano S Hackeada!), y nuevamente a finales del 2018 (ver Posible ataque contra Trezor y Ledger nano? ).

El asunto radica primero en tener la precaución de no tenerlo tirado a la vista, y esconderlo en algún sitio. Más allá de eso, algunas de estas vulnerabilidades detectadas han servido para mejorar el producto mediante actualizaciones en el firmware, pero otras, quizás como la citada en el OP, requieran posiblemente de un rediseño hardware a fin de erradicar la posibilidad de robo mediante el acceso físico que, aunque remota, existe.

Claro que sigue siendo más práctico y menos sofisticado recurrir al viejo clásico: usar una llave inglesa de 5$ contra el dueño del dispositivo …

Precisamente la semana pasada me regalaron un trezor.. esta semana aparece esta publicación de que es posible robar el dinero que existe en una trezor, de verdad que estoy de muy mala suerte.

Anteriormente pensé en comprar un KeepKey, pero no lo compre porque apareció una publicación de que podía ser vulnerado. Al menos el trezor fue por un concurso y me percate de que no estuviera falsificado.
okae
Legendary
*
Offline Offline

Activity: 1383
Merit: 1003


northern exposure


View Profile WWW
February 02, 2020, 10:50:38 PM
Last edit: February 02, 2020, 11:27:09 PM by okae
 #6

Precisamente la semana pasada me regalaron un trezor.. esta semana aparece esta publicación de que es posible robar el dinero que existe en una trezor, de verdad que estoy de muy mala suerte.

Anteriormente pensé en comprar un KeepKey, pero no lo compre porque apareció una publicación de que podía ser vulnerado. Al menos el trezor fue por un concurso y me percate de que no estuviera falsificado.

Tranquilo que Trezor esta entre los 2 primeros en mi humilde opinión en el top de HW, y no es tan fácil, según tengo entendido primero te lo tienen que robar si o si, después tienen que saber hacerlo que tampoco es nada fácil..., y por ultimo tienen que averiguar la nº25 (si es que la estas usando, cosa que recomiendo) porque esta ultima no se guarda en el Trezor, así que no es tan fácil poderlo hackear, es mas yo diría que si usas la nº25 y siendo esta medianamente complicada, te da tiempo mas que de sobra de mover tus BTC antes de que ocurra nada indeseado, tal como digo, eso teniendo en cuenta que puedan averiguar la nº25...

IMHO #1.b of suspects, Hal Finney is/was Satoshi Nakamoto
DdmrDdmr
Hero Member
*****
Offline Offline

Activity: 826
Merit: 3673


Fuck the Coronavirus -> #StayAtHome #QuedateEnCasa


View Profile WWW
February 03, 2020, 07:14:16 AM
 #7

<…>
Tampoco le daría muchas vueltas en estos momentos. Para poder hackearlo en todo caso hace falta acceso físico, y los mecanismos aún son de práctica muy delimitada y experimental. Nada masivo.

Es como si tienes una caja fuerte en casa. Cuanto menos a la vista y menos gente sepa que la tienes mejor. Es mucho más efectivo ocultarla que tener la mejor marca de caja fuerte y dejarla a la vista. Lo mismo con el hardware wallet.

LUCKMCFLY
Hero Member
*****
Offline Offline

Activity: 924
Merit: 856



View Profile
February 03, 2020, 02:58:35 PM
 #8

Hasta donde sé, esta wallet Trezor es la más segura que existe y además la más costosa, entonces en caso  que pueda tener la vulnerabilidad sólo es de manera física que pueda ser manipulada? Tal como lo dice DdmrDdmr, no creo que los que posean las wallets se pongan a ventilarla por ahí...

Según la información del STM32 BootROM del blog:



https://blog.kraken.com/post/3662/kraken-identifies-critical-flaw-in-trezor-hardware-wallets/

Es notable que para ese arranque no hay una encriptación o protección, sólo obedece al lenguaje de máquina, el común que todo lo mueve a nivel de computadores, lo cual , es posible ser vulnerado, hay muchos algoritmos para romper estos códigos, a nivel de lenguaje ensamblador pueden hacerse las cosas de manera más rápida pues ahora está la facilidad de programar cualquier ataque vía lenguaje C, para luego pasarlo a lenguaje de máquina y que lo interprete como de él, le doy importancia porque es el arranque y a partir de allí puede acceder fácilmente con el algoritmo adecuado.

La verdad la Wallet Trezor debe tener su misma dirección Física, tal como lo tienen las PC, no estoy seguro, pero a partir de allí puede ser cambiada como se hace en las PC, que muchos dicen que no es posible, pero sí lo es, si es cambiada puede generarle más protección aún, ( Claro estoy especulando, no conozco muy bien la estructura de la Trezor)

███████████████████████████
█████████▀▄▄▄▄▄██▀▀████████
█████▀▄█▀▀▄▄▄▄▄▄▄▀▀▄▄▀█████
████ █▀▄███████████▄▀██████
███▄█ ███████▀ ██████ █ ███
██▀█ ███  ▀▀█  ▀██████ █ ██
██ █ ████▄▄      ▀▀▀██ █ ██
██ █ █████▌        ▄██ ████
███▄█ █████▄▄   ▄▄███ █▀███

████▀█▄▀█████▌  ▀██▀▄█ ████

█████▄▀▀▄▄▀▀▀▀   ▄▄█▀▄█████
████████▄██▀▀▀▀▀▀██████████

███████████████████████████
IIII★ ‎
‎ ★
.
█▀▀ █▀█ █▀█  ▄  ▄▀▀ █   ▄▀█ ▀█▀ ▄▀▀  ▄███▄
▀▀█ █ █ █ █ ▀█▀ ▀▀█ █   █ █  █  ▀▀█  ▀███▀
▄▄█ █▄█ █▄█     ▄▄▀ ▀▄▄ █▄▀  █  ▄▄▀   
                                       █

████████████████████████████████████
███▀▀▀▀▀▀██████▀▀▀▀▀▀██████▀▀▀▀▀▀███
█▀▄██▀███▄▀██▀▄██▀███▄▀██▀▄██▀███▄▀████▄
█ █ ▀ ▀███ ██ █ ▀ ▀███ ██ █ ▀ ▀███ █████
█ ██    ▄█ ██ ██    ▄█ ██ ██    ▄█ █████
█▄▀██  ▀█▀▄██▄▀██  ▀█▀▄██▄▀██  ▀█▀▄████▀
███▄▄▄▄▄▄██████▄▄▄▄▄▄██████▄▄▄▄▄▄███
████████████████████████████████████

‎ ★
UP
TO
15%...CASH BACK
EVERY SPIN
IIII..PLAY NOW..
Pages: [1]
  Print  
 
Jump to:  

Sponsored by , a Bitcoin-accepting VPN.
Powered by MySQL Powered by PHP Powered by SMF 1.1.19 | SMF © 2006-2009, Simple Machines Valid XHTML 1.0! Valid CSS!